Tin tặc tấn công chủ đích lây nhiễm mã độc Slingshot qua các router

13:00 | 19/03/2018 | HACKER / MALWARE

Các nhà nghiên cứu tại Kaspersky đã xác nhận, một nhóm tin tặc đã sử dụng phương thức tấn công chủ đích một cách tinh vi từ năm 2012 mà chưa từng bị phát hiện.

Tin tặc tấn công chủ đích lây nhiễm mã độc Slingshot qua các router

Nhóm tin tặc này sử dụng mã độc Slingshot để lây nhiễm cho hàng trăm nghìn nạn nhân tại Trung Đông và châu Phi bằng cách khai thác một lỗ hổng trong các router từ nhà cung cấp phần cứng mạng Mikrotik (Lavia, Phần Lan), bước đầu là bí mật phát tán phần mềm gián điệp qua máy tính nạn nhân.

Khi router bị xâm chiếm, kẻ tấn công sẽ thay một file trong thư viện liên kết động (Dynamic Link Library - DDL) bằng một mã độc từ file trên hệ thống, tải trực tiếp vào bộ nhớ máy tính của nạn nhân khi người dùng chạy phần mềm Winbox Loader.

Winbox Loader là một công cụ quản lý hợp pháp do Mikrotik thiết kế cho người dùng Windows dễ dàng cấu hình các router của họ để tải các file DLL từ router và thực thi chúng trên hệ thống.

Bằng cách này, mã độc có trong file DLL sẽ chạy trên máy tính mục tiêu, kết nối đến một máy chủ từ xa để tải về payload.

Mã độc Slingshot bao gồm 2 môđun là: Cahnadr (chế độ nhân) và GollumApp (chế độ người dùng), được thiết kế để thu thập, lưu thông tin và lọc dữ liệu.

Cahnadr hay aka NDriver phụ trách chống sửa lỗi (debug), ẩn giấu mã độc và chức năng phòng chống các kiểu tấn công (sniffing), lây nhiễm các môđun khác, giao tiếp mạng được yêu cầu theo chế độ người dùng.

Trong khi đó, GollumApp là môđun có chức năng thực hiện hành vi gián điệp trong phạm vi rộng, cho phép kẻ tấn công chụp ảnh màn hình, thu thập các thông tin liên quan trong mạng, mật khẩu được lưu trữ trên trình duyệt web, duy trì giao tiếp với các máy chủ C&C từ xa.

Khi GollumApp chạy chế độ nhân và có thể chạy các tiến trình mới với đặc quyền SYSTEM, mã độc sẽ trao toàn quyền kiểm soát của hệ thống bị lây nhiễm cho tin tặc.

Mặc dù các nhà nghiên cứu Kaspersky không cho biết nguồn gốc nhóm tin tặc này nhưng dựa trên các kỹ thuật thông minh mà họ sử dụng và các mục tiêu thì công ty an ninh đã kết luận rằng, đây chắc chắn là tin tặc do nhà nước bảo trợ, nói tiếng Anh có kỹ năng cao.

Nạn nhân phần lớn là các cá nhân và tổ chức chính phủ của nhiều quốc gia khác nhau như: Kenya, Yemen, Libya, Afghanistan, Iraq, Tanzania, Jordan, Mauritius, Somalia, Cộng hoà Congo, Thổ Nhĩ Kỹ, Sudan và các Tiểu vương quốc ả Rập thống nhất (United Arab Emirates – UAE).

Hồng Loan

Theo The Hacker News

‹ › ×

Tin liên quan

Tổng quan các giải pháp, thiết bị chống tấn công chủ đích

13:00 | 28/06/2018

Các cuộc tấn công chủ đích (Advanced Persistent Threat – APT) ngày càng trở nên nhanh và tinh vi hơn. Để phát hiện và chống lại những cuộc tấn công này, cần sự phối hợp giữa nhiều biện pháp bảo vệ khác nhau. Hiện nay, thị trường an toàn thông tin cũng đã cung cấp các giải pháp đồng bộ nhằm chống lại tấn công có chủ đích.

Mối nguy hiểm từ các router giá rẻ

13:00 | 14/12/2020

Các router giá rẻ đến từ những nhà sản xuất có nguồn gốc Trung Quốc đang là sự lựa chọn ưu tiên của người tiêu dùng trên các sàn thương mại điện tử, bởi giá thành rẻ và chất lượng khá tốt. Tuy nhiên, ít người biết rằng độ an toàn của các thiết bị này lại rất kém.

Biến thể botnet mới nhắm mục tiêu các router ASUS

14:00 | 28/03/2022

Hãng bảo mật Trend Micro phát hiện các router ASUS trở thành mục tiêu của mạng botnet mới có tên gọi Cyclops Blink. Trước đó, các chuyên gia phát hiện mã độc này đã lạm dụng các thiết bị tường lửa của một số hãng như một bước đệm để truy cập từ xa vào các mạng bị xâm nhập.

7 bước bảo mật hữu hiệu cho bộ định tuyến Wifi

02:00 | 30/10/2019

Việc thiết lập một bộ định tuyến tại gia đình là tương đối phức tạp đối với một số người dùng thông thường. Để việc thiết lập trở nên dễ dàng hơn, các nhà sản xuất bộ định tuyến đã thêm vào các nút bấm để thiết lập mặc định. Tuy nhiên, những thiết lập mặc định này hoàn toàn không đảm bảo được an toàn cho người dùng. Bài viết dưới đây của kaspersky.proguide sẽ giúp người dùng thực hiện những bước bảo mật an toàn cho bộ định tuyến.

Tin cùng chuyên mục

Phân tích kỹ thuật lừa đảo mới nhằm phát tán phần mềm độc hại trên GitHub

09:00 | 28/04/2024

Trong một chiến dịch tấn công gần đây, các tác nhân đe dọa đã lạm dụng chức năng tìm kiếm của GitHub và sử dụng các kho lưu trữ được thiết kế đặc biệt để phát tán phần mềm độc hại nhằm đánh cắp các khoản thanh toán bằng tiền điện tử.

Lỗ hổng Terrapin mới cho phép tin tặc hạ cấp bảo mật giao thức SSH

08:00 | 11/01/2024

Các nhà nghiên cứu bảo mật từ Đại học Ruhr Bochum (Đức) phát hiện ra một lỗ hổng trong giao thức mạng mật mã Secure Shell (SSH) có thể cho phép kẻ tấn công hạ cấp bảo mật của kết nối bằng cách phá vỡ tính toàn vẹn của kênh an toàn.

Lỗ hổng LogoFAIL có thể ảnh hưởng đến phần lớn các máy tính

16:00 | 18/12/2023

Các nhà nghiên cứu từ công ty bảo mật chuỗi cung ứng Binarly cho biết lỗ hổng firmware có tên gọi là LogoFAIL có thể ảnh hưởng đến 95% máy tính, cho phép tin tặc vượt qua cơ chế bảo vệ Secure Boot và thực thi phần mềm độc hại trong quá trình khởi động. Các lỗ hổng xuất phát từ trình phân tích cú pháp hình ảnh được sử dụng trong firmware hệ thống UEFI để tải hình ảnh logo trên màn hình khởi động.

Tin tặc Triều Tiên thực hiện chiến dịch tấn công chuỗi cung ứng phần mềm ở khu vực Bắc Mỹ và châu Á

08:00 | 04/12/2023

Microsoft cho biết tin tặc Triều Tiên đã xâm nhập vào một công ty phần mềm Đài Loan và lợi dụng hệ thống của công ty này để phát tán phần mềm độc hại đến các thiết bị ở Mỹ, Canada, Nhật Bản và Đài Loan trong một cuộc tấn công vào chuỗi cung ứng.